CVE-2022-29039

Plugin Jenkins Gerrit Trigger, versões 2.35.2 e anteriores

A falha resulta em uma vulnerabilidade de cross-site scripting (XSS) armazenada, que pode ser explorada por invasores com permissão Item/Configure. Isso ocorre porque o plugin não escapa o nome e a descrição dos parâmetros nas visualizações que exibem parâmetros. A exploração requer que os parâmetros estejam listados em outra página e que essas páginas não estejam protegidas para impedir a exploração.

Para as versões 2.35.2 e anteriores do Jenkins Gerrit Trigger Plugin, atualize para uma versão posterior à 2.35.2 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso às páginas “Build With Parameters” e “Parameters” fornecidas pelo Jenkins (core) até que um patch esteja disponível.

Restrinja a permissão Item/Configure para minimizar o risco de exploração.